Een kennisassistent aan toegestane bronnen koppelen

Een interne kennisassistent hoort te antwoorden uit bronnen die voor de vrager zijn vrijgegeven. Een gedeelde documentenmap en een instructie om vertrouwelijk te blijven volstaan niet.

Het volgende voorbeeld is volledig hypothetisch. Documenten, rollen, klant en pakketnamen zijn verzonnen. Er is geen model of klantsysteem getest.

Bronnen en grenzen aan conclusies vastleggen

De gedeelde catalogus D-31 beschrijft pakketten, maar wijst ze niet aan klanten toe. Het goedgekeurde klantrecord D-32 kent pakket Plus toe aan K-17.

Beide rollen stellen dezelfde vraag:

Welke dienstverlening is voor klant K-17 afgesproken?

Dit zijn verwachte voorbeeldantwoorden:

• Serviceteam: ‘Met de beschikbare goedgekeurde bronnen kan ik de afgesproken omvang niet bepalen. Neem contact op met contractbeheer.’

• Contractbeheer: ‘Voor klant K-17 is pakket Plus afgesproken. Bron: D-32.’

Het eerste antwoord onthult geen identificatie of bestaan van een afgeschermde bron. De algemene catalogus bewijst geen specifieke klantafspraak. Het tweede vraagt om een bron die de persoon werkelijk mag openen en die de uitspraak ondersteunt.

De toegestane bronnen vóór het antwoord begrenzen

De applicatie moet vóór doorgifte aan het model controleren welke inhoud beschikbaar mag zijn. Bij verdeling in tekstpassages moeten toegangsregels behouden blijven. Ook zoekresultaten met fragmenten, opgeslagen antwoorden en eerdere gespreksinhoud horen bij het ontwerp.

Het model achteraf vragen geheime passages te verbergen vervangt die grens niet. Sterke gelijkenis met de vraag bewijst evenmin leesrecht.

Controles uit het voorbeeld afleiden

Plan voor de bedoelde versie minstens deze gevallen:

• De bevoegde rol krijgt de onderbouwde toewijzing en een bereikbare bron.

• Vervolgvragen geven de beperkte rol geen beschermde inhoud of aanwijzingen over afgeschermde bronnen.

• Na intrekking geven een eerder bevoegd gesprek of cache beschermde antwoorden niet opnieuw vrij.

• Een verborgen instructie in het document wordt geen werkinstructie van de assistent.

Leg verwachtingen, toegestaan bronnenbereik en uitkomsten navolgbaar vast. Ruwe vertrouwelijke documentinhoud hoeft daarvoor niet standaard te worden gelogd. Pas vergelijking met werkelijke resultaten laat zien of het ontwerp werkt. Het bronnenplan alleen is geen volledige beveiligingsdemonstratie.

Bronnen

• OWASP — RAG Security Cheat Sheet

• Microsoft — RAG prompt engineering